BlockStrap vise Magento ⚠️, faille d'accès sur Backuply 🔓, élévation root sur OpenBSD 🚨

Bonjour, voici ta veille Cybere du 17 octobre 2026 !

Des serveurs e-commerce jusqu'aux systèmes UNIX, la sécurité des plateformes web et des noyaux est à l'épreuve. La vulnérabilité BlockStrap menace les boutiques Magento et Adobe Commerce d'exécution de code à distance. Du côté de WordPress, une injection SQL dans l'extension Backuply permet à un simple abonné de devenir administrateur lors d'une restauration. Enfin, les chercheurs de Calif démontrent une élévation de privilèges locale menant au droit root sur OpenBSD.

Retrouve les trois articles à la une du jour :

• Faille BlockStrap (CVE-2026-103849) : risque RCE critique sur les serveurs Magento et Adobe Commerce
• Extension Backuply (CVE-2026-93953) : une injection SQL permet d'obtenir les privilèges administrateur sur WordPress
• Élévation de privilèges sur OpenBSD 7.9 : deux failles enchaînées permettent d'obtenir l'accès root en local

Une faille BlockStrap menace les serveurs Magento et Adobe Commerce

La CVE-2026-103849, baptisée BlockStrap, est une faille de gravité maximale permettant d'exécuter du code PHP arbitraire sur les serveurs Magento et Adobe Commerce. Selon la société de sécurité e-commerce Sansec, aucune attaque n'a encore été observée, mais des acteurs malveillants devraient trouver un moyen de l'exploiter.

Elle touche les versions de septembre d'Adobe Commerce et de Magento Open Source jusqu'à 2.4.9, ainsi qu'Adobe Commerce B2B jusqu'à 1.5.3. Le bulletin d'Adobe, publié le 13 octobre, décrit une neutralisation incorrecte d'éléments spéciaux dans un moteur de templates. Son correctif remplace le traitement générique par des placeholders enregistrés.

Points d'attention

• Selon Sansec, un contenu contrôlé par l'attaquant dans un template d'e-mail enfant est signé puis retraité à la racine, ce qui exécute une directive {{block}} dissimulée.
• Sansec conteste la priorité 2 d'Adobe (correctif sous 30 jours) et rappelle que StyleSmuggler est passé d'un hotfix priorité 1 à une exploitation de masse en trois jours.
• BlockStrap exploite une brèche laissée par le correctif de StyleSmuggler dans le même moteur de templates, et les deux correctifs restent distincts, le hotfix VULN-39341 de septembre demeurant nécessaire.

→ Lire la source

Backuply expose des sites WordPress à une prise de contrôle

Wordfence a publié le 15 octobre 2026 un bulletin sur la CVE-2026-93953 (CVSS 8.0), une injection SQL de type second-order dans Backuply, l'extension de sauvegarde de Softaculous installée sur plus de 600 000 sites WordPress. Elle touche toutes les versions jusqu'à 1.5.8 incluse. Le correctif figure dans la version 1.5.9.

Un abonné peut piéger le champ de biographie de son profil. À la restauration, Backuply analyse le fichier SQL avec une expression régulière trop permissive et insère ce texte tel quel dans une requête. D'après Wordfence, celle-ci active users_can_register et fixe default_role sur administrator.

Points d'attention

• Le SQL injecté reste inactif tant qu'un administrateur n'a pas restauré une sauvegarde postérieure à la biographie piégée, précise Wordfence.
• La sauvegarde exporte correctement la biographie dans une instruction INSERT : la faille naît à la restauration, lors de la recherche du préfixe des tables.
• Signalée le 17 septembre, la faille a valu 1 352 dollars de prime au chercheur et a été corrigée avant le bulletin de Wordfence.

→ Lire la source

Calif exploite deux failles pour obtenir root sur OpenBSD

La société de sécurité Calif a publié un exploit d'élévation de privilèges locale qui donne les droits root sur OpenBSD 7.9. Il enchaîne un débordement d'entier vieux d'environ 37 ans dans shmat(4) avec une faille de type use-after-free, et contourne KARL, SMAP et SMEP.

Les correctifs sont disponibles via syspatch pour toutes les architectures. L'errata 018, du 14 septembre, corrige le débordement et le classe comme correctif de fiabilité. L'errata 026, du 30 septembre, traite le use-after-free. OpenBSD 7.8 reçoit aussi le premier. Aucune CVE n'est attribuée et aucune exploitation n'est constatée.

Points d'attention

• Le compteur shm_nattch, un short signé de 16 bits hérité des sources BSD de 1988, bascule à −32 643 après 127 segments mappés et 259 processus.
• Une écriture hors limites corrompt des compteurs multicast, dont les décrémentations modifient les entrées de table de pages et rendent une projection de mémoire utilisateur accessible au superviseur.
• Selon Andrew Griffiths, les allocateurs du noyau restent déterministes, de sorte que les pointeurs de fonction de lo0 et enc0 gardent les mêmes adresses sans fuite d'information.

→ Lire la source

Autres actus importantes

• L'agence CISA demande de corriger une faille critique dans BeyondTrust Remote Support
• Des problèmes réseau après la mise à jour Windows d'octobre 2026 ? NTLM pourrait en être responsable
• Un groupe APT chinois a exploité la faille BeyondTrust en zero-day
• Un incident de cybersécurité chez BAE Systems perturbe le système judiciaire américain des faillites

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere